Was ist ISO 27001? Ein verständlicher Leitfaden zum Informationssicherheitsstandard

ISO 27001 ist ein internationaler Standard, der gemeinsam von der International Organisation for Standardisation und der International Electrotechnical Commission veröffentlicht wird und die Anforderungen an ein Informationssicherheits-Managementsystem festlegt. Die aktuelle Version ist ISO/IEC 27001:2022.

Die Kernidee ist das Managementsystem, üblicherweise zu ISMS abgekürzt. Ein ISMS ist kein Produkt, das Sie installieren. Es ist eine Reihe von Richtlinien, Prozessen, Verantwortlichkeiten und Aufzeichnungen, die es Ihrer Organisation in ihrer Gesamtheit ermöglichen, Informationssicherheit bewusst und wiederholbar zu steuern. Dem Standard ist weniger wichtig, welche konkreten Tools Sie einsetzen, als vielmehr, ob Sie Ihre Risiken verstehen, entschieden haben, wie Sie mit ihnen umgehen, und belegen können, dass das System über die Zeit hinweg weiter funktioniert.

Da er risikobasiert ist, gibt Ihnen ISO 27001 keine feste Liste von Dingen vor, die jedes Unternehmen tun muss. Stattdessen verlangt er von Ihnen, die Risiken für Ihre Informationen zu bewerten, zu entscheiden, wie Sie mit ihnen umgehen, und Ihre Entscheidungen zu begründen. Deshalb können zwei zertifizierte Organisationen von innen sehr unterschiedlich aussehen und dennoch beide vollständig konform sein.

Es lohnt sich, zwei Zahlen zu unterscheiden, die Ihnen begegnen werden. ISO 27001 ist der zertifizierbare Standard, die Anforderungen, an denen Sie gemessen werden. ISO 27002 ist ein begleitendes Leitfadendokument, das erläutert, wie die Kontrollen umgesetzt werden können. Zertifiziert werden Sie nach 27001; 27002 lesen Sie für die Orientierung.

Der Hauptteil von ISO 27001 ist in Kapitel gegliedert. Die Kapitel 1 bis 3 sind einleitend. Die Anforderungen, an denen Sie tatsächlich auditiert werden, stehen in den Kapiteln 4 bis 10, und gemeinsam beschreiben sie den Lebenszyklus des Betriebs eines ISMS.

Kapitel 4, Kontext der Organisation. Sie legen fest, was Ihr ISMS abdeckt, wer Ihre interessierten Parteien sind, etwa Kunden, Regulierungsbehörden und Mitarbeitende, und was diese von Ihnen erwarten. Hier legen Sie auch den Anwendungsbereich fest, also die Grenze dessen, was enthalten ist und was nicht.

Kapitel 5, Führung. Die Geschäftsleitung muss das ISMS verantworten, eine Informationssicherheitsrichtlinie festlegen und klare Rollen und Verantwortlichkeiten zuweisen. Sicherheit darf nicht etwas sein, das stillschweigend an eine einzelne Person im Engineering delegiert und dann vergessen wird.

Kapitel 6, Planung. Dies ist das Herzstück des Standards. Sie führen eine Risikobewertung durch, um zu ermitteln, was schiefgehen könnte, und anschließend einen Risikobehandlungsplan, um zu entscheiden, wie Sie mit jedem Risiko umgehen. Außerdem legen Sie messbare Sicherheitsziele fest.

Kapitel 7, Unterstützung. Die Ressourcen, Menschen, Fähigkeiten, das Bewusstsein und die dokumentierten Informationen, die nötig sind, damit das System funktioniert. Dazu gehören die Schulung der Mitarbeitenden und die Kontrolle über Aufzeichnungen.

Kapitel 8, Betrieb. Das tatsächliche Umsetzen des Geplanten: die Risikobewertung und -behandlung nach einem Zeitplan durchführen und Nachweise dafür aufbewahren, dass die Kontrollen im Tagesgeschäft wirken.

Kapitel 9, Bewertung der Leistung. Messen, ob das ISMS funktioniert, durch Überwachung, interne Audits und eine formelle Managementbewertung durch die Führungsebene.

Kapitel 10, Verbesserung. Umgang mit Dingen, die schiefgehen, durch Korrekturmaßnahmen und das kontinuierliche Verbessern des Systems. ISO 27001 erwartet, dass das ISMS mit der Zeit besser wird und nach der Zertifizierung nicht stillsteht.

Die Kapitel 4 bis 10 sagen Ihnen, wie Sie das Managementsystem betreiben. Annex A ist das Menü der Sicherheitskontrollen, aus dem Sie schöpfen, wenn Sie entscheiden, wie Sie Ihre Risiken behandeln. Die Ausgabe 2022 hat diese Liste neu geordnet und modernisiert.

Es gibt nun 93 Kontrollen, die in vier Themen gruppiert sind statt in die vielen Kategorien der älteren Version von 2013. Die vier Themen sind organisatorische Kontrollen, personenbezogene Kontrollen, physische Kontrollen und technologische Kontrollen.

Organisatorische Kontrollen, 37 an der Zahl, umfassen Richtlinien, Rollen, Lieferantenbeziehungen, Incident-Management und ähnliche Governance-Themen. Personenbezogene Kontrollen, 8 an der Zahl, umfassen die Überprüfung, das Bewusstsein, die Verantwortlichkeiten und das Verhalten der Mitarbeitenden. Physische Kontrollen, 14 an der Zahl, umfassen Büros, Ausstattung, Sicherheitsbereiche und physischen Zugang. Technologische Kontrollen, 34 an der Zahl, umfassen die technischen Maßnahmen wie Zugriffskontrolle, Verschlüsselung, Logging, Backups und sichere Entwicklung.

Die Aktualisierung 2022 hat außerdem mehrere neuere Kontrollen eingeführt, die widerspiegeln, wie Organisationen heute arbeiten, darunter Threat Intelligence, Informationssicherheit für Cloud-Dienste, Datenmaskierung, Verhinderung von Datenabfluss und sicheres Codieren.

Entscheidend ist, dass Sie nicht jede Kontrolle umsetzen müssen. Sie prüfen jede einzelne anhand Ihrer Risikobewertung und halten in einem Dokument namens Statement of Applicability (Erklärung zur Anwendbarkeit) fest, welche zutreffen, welche nicht und warum. Die Statement of Applicability ist eines der zentralen Artefakte, das ein Auditor prüfen wird, denn sie zeigt die Begründung hinter Ihren Entscheidungen.

Die ISO-27001-Zertifizierung wird von einer unabhängigen Zertifizierungsstelle erteilt, nicht von demjenigen, der Sie bei der Vorbereitung unterstützt hat. Eine Beratung oder ein Studio kann Sie anleiten, das ISMS gemeinsam mit Ihnen aufbauen und ein Probeaudit durchführen, aber es kann das Zertifikat nicht ausstellen. Diese Trennung ist beabsichtigt, und sie verleiht dem Zertifikat seine Glaubwürdigkeit.

Die Stellen, die ein anerkanntes Zertifikat ausstellen können, sind selbst von einer nationalen Akkreditierungsstelle akkreditiert, die ihre Kompetenz und Unabhängigkeit überwacht. Bei der Wahl einer Zertifizierungsstelle ist es wichtig zu prüfen, ob sie ordnungsgemäß akkreditiert ist, denn ein nicht akkreditiertes Zertifikat hat bei Kunden deutlich weniger Gewicht.

Die Bewertung erfolgt in zwei Stufen. Stufe 1 ist eine Dokumentenprüfung. Der Auditor prüft, ob Ihr ISMS auf dem Papier existiert, ob Ihr Anwendungsbereich, Ihre Richtlinien, Ihre Risikobewertung und Ihre Statement of Applicability vorhanden und schlüssig sind und ob Sie bereit für das tiefergehende Audit sind. Dabei kommen oft Lücken zum Vorschein, die Sie noch rechtzeitig beheben können.

Stufe 2 ist das Hauptaudit. Der Auditor sammelt Nachweise dafür, dass Ihr ISMS nicht nur aufgeschrieben ist, sondern tatsächlich funktioniert: dass Kontrollen laufen, Aufzeichnungen geführt werden, Vorfälle behandelt werden und Managementbewertungen stattfinden. Wenn Sie bestehen, stellt die Stelle ein Zertifikat aus, das in der Regel drei Jahre gültig ist.

Die Zertifizierung ist kein einmaliges Ereignis. Während dieser drei Jahre führt die Stelle Überwachungsaudits durch, üblicherweise jährlich, um zu bestätigen, dass das ISMS weiterhin funktioniert, sowie am Ende des Zyklus ein vollständiges Rezertifizierungsaudit. Der Standard geht davon aus, dass Sie das System am Leben halten, und nicht, dass Sie sich einmal vorbereiten und sich dann zurücklehnen.

ISO 27001 ist freiwillig. Es gibt kein Gesetz, das ein typisches Unternehmen zwingt, es zu besitzen. In der Praxis wird die Nachfrage von Kunden und Märkten getrieben und nicht von Regulierungsbehörden.

Am wichtigsten ist es meist für Softwareanbieter und SaaS-Unternehmen, die an größere Organisationen verkaufen, für Managed-Service-Provider, Datenverarbeiter und jedes Unternehmen, dessen Kunden formelle Lieferanten-Sicherheitsprüfungen durchführen. In vielen Einkaufsprozessen von Enterprise- und öffentlichem Sektor verkürzt oder ersetzt ein akkreditiertes ISO-27001-Zertifikat einen langen Sicherheitsfragebogen.

Es ist außerdem bei der internationalen Expansion verbreitet, denn ISO 27001 ist weltweit anerkannt und gibt eine einzige, übertragbare Antwort auf die Frage, ob Sie Sicherheit ernst nehmen.

Sie benötigen es wahrscheinlich noch nicht, wenn keine Kunden danach fragen, Sie wenig sensible Daten verarbeiten und dringendere Produktrisiken haben. Dennoch macht es die eventuelle Zertifizierung deutlich weniger schmerzhaft, wenn Sie früh gute Sicherheitsgewohnheiten aufbauen, und die Disziplin der Kapitel 4 bis 10 ist bereits wertvoll, bevor Sie ein Zertifikat anstreben.

Es lohnt sich zu beachten, wie sich ISO 27001 von SOC 2 unterscheidet, mit dem es von Leserinnen und Lesern oft verwechselt wird. ISO 27001 zertifiziert, dass Ihr Managementsystem einen definierten Standard erfüllt, und wird von einer akkreditierten Zertifizierungsstelle ausgestellt. SOC 2 ist ein Bescheinigungsbericht (Attestation), der von einer zugelassenen CPA-Wirtschaftsprüfungsgesellschaft anhand definierter Trust Services Criteria erstellt wird. Inhaltlich überschneiden sie sich stark, unterscheiden sich aber im Format und darin, wer das Ergebnis ausstellt.

Die Vorbereitung ist überschaubarer, als es die dichte Formulierung des Standards vermuten lässt. Ein Großteil davon besteht darin, aufzuschreiben und konsequent zu befolgen, was Ihr Team ohnehin schon tut, und anschließend die echten Lücken zu schließen.

Legen Sie zuerst Ihren Anwendungsbereich fest. Entscheiden Sie, welche Produkte, Systeme, Teams und Standorte das ISMS abdeckt. Ein engerer, ehrlicher Anwendungsbereich lässt sich leichter zertifizieren als ein zu ehrgeiziger.

Beziehen Sie die Führungsebene wirklich ein. Kapitel 5 ist keine Formsache; Auditoren merken, wenn das Management eine Richtlinie unterschrieben hat, sich aber nicht einbringt. Weisen Sie dem ISMS eine klare verantwortliche Person zu.

Führen Sie eine echte Risikobewertung durch. Ermitteln Sie Ihre Informationswerte und was sie bedrohen könnte, und entscheiden Sie dann für jedes Risiko, ob Sie es behandeln, akzeptieren, übertragen oder vermeiden. Das treibt alles Weitere an, auch die Auswahl der Annex-A-Kontrollen.

Verfassen Sie die zentralen Dokumente: eine Informationssicherheitsrichtlinie, die Risikobewertung und den Risikobehandlungsplan sowie die Statement of Applicability. Halten Sie sie lesbar, denn Menschen müssen sie befolgen.

Setzen Sie die ausgewählten Kontrollen um und betreiben Sie sie dann lange genug, um Nachweise zu erzeugen. Auditoren wollen das System in Betrieb sehen, bauen Sie daher vor dem Stufe-2-Audit einige Monate an Aufzeichnungen, Logs und Bewertungssitzungen auf.

Führen Sie ein internes Audit und eine Managementbewertung durch, bevor die Zertifizierungsstelle kommt. Die eigenen Lücken zuerst zu finden und zu beheben ist genau das, was die Kapitel 9 und 10 verlangen, und es macht das externe Audit deutlich reibungsloser.

Ein spezialisiertes Studio wie tr3labs, gegründet 2024, kann Sie dabei unterstützen, den Anwendungsbereich des ISMS festzulegen, die Risikobewertung durchzuführen, die Dokumentation aufzubauen und sich auf das Audit vorzubereiten. Das Zertifikat selbst kommt stets von einer unabhängigen, akkreditierten Zertifizierungsstelle, niemals von dem Unternehmen, das Sie bei der Vorbereitung unterstützt hat.